L'AI Act européen pour les équipes de recrutement : ce qui s'applique à partir d'août 2026

Si votre équipe utilise l’IA quelque part dans son recrutement, pour filtrer des candidatures, noter des CV, classer des candidats ou évaluer des réponses vidéo, le règlement européen sur l’IA (l’AI Act) traite cet outil comme un système d’IA à haut risque, et il vous assigne des obligations, à vous, pas seulement à l’éditeur qui l’a construit. L’essentiel de ce qui s’écrit sur l’AI Act s’adresse aux entreprises d’IA. Cet article s’adresse à ceux qui déploient les outils : recruteurs, responsables de l’acquisition de talents et équipes RH qui recrutent dans l’UE.

Une précision avant tout le reste : cet article oriente, il ne constitue pas un avis juridique. Le règlement interagit avec le RGPD, le droit du travail national et les conventions collectives d’une manière qui dépend de votre situation. Servez-vous-en pour arriver préparé à la conversation avec votre conseil, pas pour vous en dispenser.

Pourquoi l’IA de recrutement est à haut risque

L’AI Act (règlement (UE) 2024/1689) classe les systèmes d’IA par niveaux de risque. L’annexe III, point 4 place l’emploi en plein dans le niveau à haut risque : les systèmes d’IA destinés à être utilisés pour « le recrutement ou la sélection de personnes physiques, notamment pour publier des offres d’emploi ciblées, pour analyser et filtrer les candidatures et pour évaluer les candidats », ainsi que les systèmes utilisés pour les décisions de promotion ou de rupture de la relation de travail, l’attribution des tâches, ou la surveillance des performances des travailleurs.

Ce n’est pas une catégorie marginale. Si un outil lit des candidatures et influence qui passe à l’étape suivante, il est dans le périmètre. Et le règlement porte au-delà des frontières de l’UE : il peut s’appliquer à des organisations établies hors de l’UE dès lors que ce que le système produit est utilisé à l’intérieur de celle-ci.

Fournisseur ou déployeur : sachez lequel vous êtes

Le règlement répartit les obligations entre deux rôles :

• Un fournisseur développe le système et le met sur le marché. Les fournisseurs portent les obligations lourdes : gestion des risques, gouvernance des données, documentation technique, évaluation de la conformité, et conception du système pour le contrôle humain (articles 9 à 15).
• Un déployeur utilise le système sous sa propre autorité. Une équipe de recrutement qui fait tourner un outil de présélection est un déployeur, et les obligations du déployeur figurent pour l’essentiel à l’article 26.

Un piège à connaître (article 25) : un déployeur qui appose son propre nom sur un système à haut risque, ou qui en modifie un substantiellement, devient fournisseur et hérite de la charge complète du fournisseur. Si vous proposez un outil de présélection en marque blanche ou si vous en retravaillez un, soulevez le point avec votre conseil avant de vous considérer comme « simple » déployeur.

Ce qui s’applique déjà aujourd’hui

Deux volets du règlement sont en vigueur depuis le 2 février 2025 :

• Les pratiques interdites (article 5). Le plus pertinent pour le recrutement : l’IA qui infère les émotions sur le lieu de travail est interdite, à d’étroites exceptions médicales et de sécurité près. Si un outil de votre panoplie prétend lire l’état émotionnel d’un candidat sur la vidéo ou la voix, ce n’est pas un détail de conformité, c’est une pratique interdite.
• La maîtrise de l’IA (article 4). Fournisseurs et déployeurs doivent prendre des mesures pour garantir à leur personnel un niveau suffisant de maîtrise de l’IA. Pour une équipe de recrutement, cela signifie que les personnes qui utilisent un outil d’IA doivent comprendre ce qu’il fait, ce qu’il ne peut pas faire, et comment interpréter ce qu’il produit.

Où en est l’échéance d’août 2026

Tel qu’il est écrit, le régime complet du haut risque pour les systèmes de l’annexe III, y compris les obligations du déployeur de l’article 26, s’applique à partir du 2 août 2026.

Cette date a bougé. La Commission européenne a proposé le Digital Omnibus sur l’IA en novembre 2025, les négociateurs sont parvenus à un accord provisoire le 7 mai 2026, le Parlement européen l’a approuvé le 16 juin, et le Conseil l’a formellement adopté le 29 juin 2026, reportant les obligations à haut risque de l’annexe III au 2 décembre 2027.

Une étape de procédure reste en suspens au moment où cet article est publié : la publication au Journal officiel de l’Union européenne, après laquelle l’amendement entre en vigueur trois jours plus tard. Tant qu’elle n’a pas eu lieu, le calendrier d’origine reste techniquement le texte en vigueur, et c’est précisément pourquoi la procédure a été comprimée pour aboutir avant le 2 août. La posture pratique pour une équipe de recrutement : planifiez sur décembre 2027, et ne considérez pas le 2 août 2026 comme formellement écarté tant que la parution au Journal officiel n’est pas là.

Deux choses ne changent pas, quelle que soit l’issue : l’IA de recrutement reste classée à haut risque, et les interdictions et les obligations de maîtrise de l’IA ci-dessus sont déjà en vigueur. Un report déplace l’échéance ; il ne remet pas le génie dans la lampe.

Les obligations du déployeur, en clair

L’article 26 est court pour un texte réglementaire. Voici ce qu’il demande à une équipe qui utilise un outil de recrutement à haut risque, paragraphe par paragraphe :

1. Utilisez le système selon sa notice (26(1)). Le fournisseur doit livrer une notice d’utilisation ; à vous de mettre en place les mesures techniques et organisationnelles pour la suivre. Traduction pratique : quelqu’un dans votre équipe a réellement lu la documentation de l’éditeur, et votre processus la reflète.
2. Confiez le contrôle humain à des personnes réelles et compétentes (26(2)). Le contrôle revient à des personnes nommées, dotées de la formation, de l’autorité et du soutien nécessaires pour intervenir, pas à « l’équipe » dans l’abstrait.
3. Surveillez vos données d’entrée (26(4)). Dans la mesure où vous maîtrisez les entrées, elles doivent être pertinentes et suffisamment représentatives au regard de la destination du système. Une description de poste remplie d’exigences que vous ne pensez pas vraiment est un problème de données d’entrée autant qu’un problème de recrutement.
4. Surveillez et signalez (26(5)). Suivez le fonctionnement du système, et informez le fournisseur et les autorités en cas de risque sérieux ou d’incident.
5. Conservez les journaux (26(6)). Les journaux générés automatiquement par le système, lorsqu’ils sont sous votre contrôle, doivent être conservés au moins six mois, sous réserve du droit de la protection des données.
6. Informez vos travailleurs (26(7)). Avant de mettre en service un système d’IA à haut risque sur le lieu de travail, l’employeur doit informer les travailleurs concernés et leurs représentants.
7. Informez les personnes qu’il évalue (26(11)). Les candidats doivent être informés qu’un système d’IA à haut risque est utilisé à leur égard.
8. Alimentez votre AIPD (26(9)). Là où le RGPD exige une analyse d’impact relative à la protection des données, appuyez-vous sur la documentation du fournisseur pour la réaliser.

L’article 26 a un voisin, l’article 86 : une personne concernée par une décision qui produit des effets juridiques ou qui l’affecte de manière comparable, prise sur la base des sorties d’un système à haut risque, peut demander des explications claires et pertinentes sur le rôle que l’IA a joué. Un candidat écarté qui demande « qu’a réellement fait l’IA dans mon cas ? », c’est une demande à laquelle votre processus doit savoir répondre.

Une obligation que la plupart des employeurs privés ne portent pas : l’analyse d’impact sur les droits fondamentaux de l’article 27 s’applique aux organismes publics, aux entités privées fournissant des services publics, et à certains cas d’usage du crédit et de l’assurance. Faites confirmer votre position par votre conseil, mais une équipe de recrutement privée typique est en dehors.

L’enjeu est réel. Le non-respect des obligations du déployeur peut valoir des amendes jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial ; les pratiques interdites montent jusqu’à 35 millions d’euros ou 7 %, avec des dispositions de proportionnalité pour les plus petites entreprises.

Une liste de préparation à lancer dès cette semaine

1. Faites l’inventaire. Listez chaque outil de votre chaîne de recrutement qui utilise l’IA, y compris les fonctions logées dans des outils que vous rangez parmi les bases de données.
2. Rassemblez la documentation des éditeurs. Demandez à chaque éditeur la notice d’utilisation et la documentation technique que le règlement exige des fournisseurs. Un éditeur qui ne peut pas les produire vous dit quelque chose.
3. Nommez un responsable du contrôle. Une personne par outil, formée, avec l’autorité explicite de passer outre ou d’arrêter l’outil.
4. Vérifiez ce que l’outil journalise, et conservez-le. Confirmez ce qui est conservé, où, et pour combien de temps.
5. Rédigez les deux notifications. Une pour les travailleurs et leurs représentants, une pour les candidats. Le langage clair bat la formule toute faite dans les deux cas.
6. Écrivez votre plan d’explication. Décidez aujourd’hui de la réponse que vous feriez à un candidat qui demande quel rôle l’IA a joué dans son évaluation. Si votre outil actuel ne permet pas d’étayer une réponse, c’est un critère de sélection pour le prochain.
7. Réservez la conversation avec votre conseil. Venez avec l’inventaire et les documents des éditeurs.

Où un outil de présélection trouve sa place

Plusieurs obligations du déployeur se ramènent à une seule question : votre outil peut-il montrer son travail ? Talentino est construit autour de mécanismes qui vont dans le sens de cette question. Chaque score s’accompagne du détail par exigence et de preuves citées du CV lui-même, ce qui vous donne de la matière concrète quand un candidat ou un responsable du recrutement demande pourquoi une décision est allée dans ce sens. La notation est déterministe par conception : les mêmes critères et la même pondération sont appliqués à chaque candidat, et tous deux sont fixés sur le poste et conservés avec lui, si bien qu’une évaluation passée peut être relancée et vérifiée au regard de la même norme plutôt que débattue. Et chaque statut conserve la trace de la personne qui l’a appliqué : qui a décidé quoi est un enregistrement, pas un souvenir.

Pour être direct sur les limites : aucun outil de présélection ne vous rend conforme, et méfiez-vous de tout éditeur qui prétend que le sien le fait. La conformité au titre de l’AI Act est une propriété de votre processus tout entier : votre contrôle humain, vos notifications, vos registres, la relecture par votre conseil. Ce qu’un outil peut honnêtement faire, c’est faire du volet preuves et registres de ce processus quelque chose que vous avez déjà, au lieu de quelque chose que vous devez produire dans l’urgence. Commencez gratuitement pour voir à quoi ressemble une présélection appuyée sur des preuves sur un poste réel, ou réservez une démo et venez avec vos questions de conformité.